Creare e gestire gruppi di endpoint di mirroring

Questa pagina spiega come configurare e gestire i gruppi di endpoint di mirroring nell'account del consumer per rappresentare i gruppi di deployment di mirroring del producer.

Ti consigliamo di creare il gruppo di endpoint di mirroring in un progetto di proprietà dell'amministratore della sicurezza. Per creare le associazioni del gruppo di endpoint di mirroring, l'amministratore della sicurezza deve assegnare i ruoli Amministratore endpoint di mirroring (roles/networksecurity.mirroringAdmin) e Amministratore di rete endpoint di mirroring (roles/networksecurity.mirroringEndpointNetworkAdmin) al progetto o all'amministratore di rete.

Se hai abilitato l'azione della regola di mirroring come MIRROR nel criterio del firewall associato alla tua rete Virtual Private Cloud (VPC) e hai creato le associazioni di gruppi di endpoint di mirroring, il traffico sottoposto a mirroring viene inoltrato al gruppo di endpoint di mirroring.

Prima di iniziare

• Devi abilitare l'API Compute Engine nel tuo progetto Google Cloud .

• Devi abilitare l'API Network Security nel progetto Google Cloud che vuoi utilizzare per la fatturazione.

• Installa gcloud CLI se vuoi eseguire gli esempi di riga di comando gcloud in questa guida.

• Devi disporre di un gruppo di deployment di mirroring.

Ruoli

Per ottenere le autorizzazioni necessarie per creare, visualizzare o eliminare gruppi di endpoint di mirroring, chiedi all'amministratore di concederti i ruoli Identity and Access Management (IAM) necessari per il tuo progetto Google Cloud . Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Per controllare lo stato di avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo ruolo utente disponga dei ruoli e delle autorizzazioni Amministratore endpoint di mirroring (roles/networksecurity.mirroringEndpointAdmin) e Utente di deployment del mirroring (roles/networksecurity.mirroringDeploymentUser).

Il ruolo Utente deployment mirroring (roles/networksecurity.mirroringDeploymentUser) è obbligatorio nel progetto producer per poter connettere il gruppo di endpoint mirroring del consumer al gruppo di deployment mirroring del producer.

Quote

Per visualizzare le quote associate ai gruppi di endpoint di mirroring, consulta Quote e limiti.

Crea un gruppo di endpoint di mirroring

Crea un gruppo di endpoint di mirroring in una zona specifica.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.mirroringEndpointGroups.create

Ruoli

• Mirroring Endpoint Admin (roles/networksecurity.mirroringEndpointAdmin)

Console

1. Nella console Google Cloud , vai alla pagina Gruppi di endpoint.

   Vai a Gruppi di endpoint

2. Fai clic su Crea gruppo di endpoint.

3. In Nome, inserisci un nome per il gruppo di endpoint di mirroring.

4. Per Gruppo di deployment, seleziona una delle seguenti opzioni:

   • Seleziona progetto: seleziona questa opzione se conosci il nome del progetto in cui esiste il gruppo di deployment di mirroring.

     Se selezioni questa opzione, seleziona il nome del progetto.

   • Seleziona progetto corrente: seleziona questa opzione se il gruppo di deployment di mirroring esiste nel progetto corrente.

     Se selezioni questa opzione, specifica il nome del gruppo di deployment di mirroring.

   • Inserisci manualmente il gruppo di deployment: seleziona questa opzione se il gruppo di deployment di mirroring esiste in un progetto diverso.

     Se selezioni questa opzione, specifica l'ID progetto e il nome del gruppo di deployment di mirroring.

5. Fai clic su Continua.

6. (Facoltativo) Fai clic su Aggiungi associazione di gruppo di endpoint.

   Specifica il nome del progetto e della rete VPC che ospita il gruppo di endpoint di mirroring, quindi fai clic su Fine.

   Nota :assicurati che la rete VPC che associ al gruppo di endpoint non sia la stessa del gruppo di deployment.

7. Fai clic su Crea.

gcloud

Per creare un gruppo di endpoint di mirroring, utilizza il comando gcloud network-security mirroring-endpoint-groups create:

 gcloud network-security mirroring-endpoint-groups create ENDPOINT_GROUP \
     --location global \
     --project PROJECT_NAME \
     --mirroring-deployment-group DEPLOYMENT_GROUP \
     --no-async

Sostituisci quanto segue:

• ENDPOINT_GROUP: il nome del gruppo di endpoint di mirroring

  Il nome del gruppo di endpoint è visibile ai producer a cui il consumer ha concesso l'accesso in modo esplicito. Pertanto, non includere informazioni sensibili come dati di sicurezza o informazioni che consentono l'identificazione personale nel nome del gruppo di endpoint di mirroring.

• PROJECT_NAME: il nome del progetto in cui vuoi creare il gruppo di endpoint di mirroring

• DEPLOYMENT_GROUP: il nome del gruppo di deployment di mirroring

Per associare il gruppo di endpoint di mirroring a una rete VPC, consulta Crea e gestisci le associazioni di gruppi di endpoint di mirroring.

Terraform

Per creare un gruppo di endpoint di mirroring, puoi utilizzare una risorsa google_network_security_mirroring_endpoint_group.

resource "google_network_security_mirroring_endpoint_group" "default" {
  mirroring_endpoint_group_id = "mirroring-endpoint-group"
  location                    = "global"
  mirroring_deployment_group  = google_network_security_mirroring_deployment_group.default.id
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Visualizza un gruppo di endpoint di mirroring

Puoi visualizzare i dettagli di un gruppo di endpoint di mirroring specifico.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.mirroringEndpointgroups.get

Ruoli

• Mirroring Endpoint Admin (roles/networksecurity.mirroringEndpointAdmin)
• Mirroring Endpoint Viewer (roles/networksecurity.mirroringEndpointViewer)

Console

1. Nella console Google Cloud , vai alla pagina Gruppi di endpoint.

   Vai a Gruppi di endpoint

2. Fai clic sul nome del gruppo di endpoint di mirroring.

gcloud

Per visualizzare i dettagli di un gruppo di endpoint di mirroring, utilizza il comando gcloud network-security mirroring-endpoint-groups describe:

 gcloud network-security mirroring-endpoint-groups \
     describe ENDPOINT_GROUP \
     --location global

Sostituisci ENDPOINT_GROUP con il nome del gruppo di endpoint di mirroring.

Elenca i gruppi di endpoint di mirroring

Puoi elencare tutti i gruppi di endpoint di mirroring in un progetto.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.mirroringEndpointGroups.list

Ruoli

• Mirroring Endpoint Admin (roles/networksecurity.mirroringEndpointAdmin)
• Mirroring Endpoint Viewer (roles/networksecurity.mirroringEndpointViewer)
• Mirroring Endpoint User (roles/networksecurity.mirroringEndpointUser)

Console

Per visualizzare tutti i gruppi di endpoint di mirroring del progetto, completa il seguente passaggio:

1. Nella console Google Cloud , vai alla pagina Gruppi di endpoint.

   Vai a Gruppi di endpoint

2. Per elencare i gruppi di endpoint di mirroring, fai clic su filter_listFiltro.

3. Nell'elenco Proprietà, seleziona Scopo e poi, per Valore, seleziona NSI out-of-band.

gcloud

Per elencare tutti i gruppi di endpoint di mirroring, utilizza il comando gcloud network-security mirroring-endpoint-groups list:

 gcloud network-security mirroring-endpoint-groups list \
     --project PROJECT_NAME \
     --location global

Sostituisci PROJECT_NAME con il nome del progetto in cui è stato creato il gruppo di endpoint di mirroring.

Elimina un gruppo di endpoint di mirroring

Puoi eliminare un gruppo di endpoint di mirroring specificandone il nome, la posizione e il progetto.

Nota :puoi eliminare un gruppo di endpoint di mirroring solo se non è associato a nessuna rete VPC.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.mirroringEndpointGroups.delete

Ruoli

• Mirroring Endpoint Admin (roles/networksecurity.mirroringEndpointAdmin)

Console

1. Nella console Google Cloud , vai alla pagina Gruppi di endpoint.

   Vai a Gruppi di endpoint

2. Seleziona la casella di controllo del gruppo di endpoint di mirroring e fai clic su Elimina.

3. Fai di nuovo clic su Elimina per confermare.

gcloud

Per eliminare un gruppo di endpoint di mirroring, utilizza il comando gcloud network-security mirroring-endpoint-groups delete:

 gcloud network-security mirroring-endpoint-groups delete ENDPOINT_GROUP
     --project PROJECT_NAME \
     --location global \
     --no-async

Sostituisci quanto segue:

• ENDPOINT_GROUP: il nome del gruppo di endpoint di mirroring.

• PROJECT_NAME: il nome del progetto in cui è stato creato il gruppo di endpoint di mirroring.

Passaggi successivi

• Panoramica dei gruppi di endpoint di mirroring
• Panoramica dell'integrazione fuori banda
• Creare e gestire le associazioni di gruppi di endpoint di mirroring